Laki sosiaali- ja terveystietojen toissijaisesta käytöstä Eduskunnan päätöksen mukaisesti säädetään:

Transkriptio

1 1(41) Hallituksen esityksessä oleva muotoilu Laki sosiaali- ja terveystietojen toissijaisesta käytöstä Eduskunnan päätöksen mukaisesti säädetään: 1 luku Yleiset säännökset 1 Lain tavoite Lain tavoitteena on mahdollistaa sosiaali- ja terveydenhuollon toiminnassa sekä sosiaali- ja terveysalan ohjaus-, valvonta-, tutkimus- ja tilastotarkoituksessa tallennettujen henkilötietojen tehokas ja tietoturvallinen käsittely, sekä niiden yhdistäminen Kansaneläkelaitoksen, Väestörekisterikeskuksen, Tilastokeskuksen ja Eläketurvakeskuksen henkilötietoihin. Lain tavoitteena on lisäksi turvata yksilön luottamuksensuoja sekä oikeudet ja vapaudet henkilötietoja käsiteltäessä. 2 Soveltamisala Tässä laissa annetaan luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) annettua Euroopan parlamentin ja neuvoston asetusta 2016/679, jäljempänä tietosuoja-asetus, täydentävät säännökset, kun 1 :ssä tarkoitettuja henkilötietoja käsitellään seuraaviin käyttötarkoituksiin, vaikka niitä ei olisi alun perin tallennettu mainitussa tarkoituksessa: tilastointi; tieteellinen tutkimus; kehittämis- ja innovaatiotoiminta; opetus; tietojohtaminen; sosiaali- ja terveydenhuollon viranomaisohjaus ja -valvonta; sekä viranomaisen suunnittelu- ja selvitystehtävä. Organisaatioista, joiden tietoja saa tämän lain nojalla käsitellä 1 momentin mukaisesti sekä tietojen käsittelyyn liittyvistä rajauksista säädetään 6 ja 7 :ssä. Uusi ehdotus Laki sosiaali- ja terveystietojen toissijaisesta käytöstä Eduskunnan päätöksen mukaisesti säädetään: 1 luku Yleiset säännökset 1 Lain tavoite Lain tavoitteena on mahdollistaa sosiaali- ja terveydenhuollon toiminnassa sekä sosiaali- ja terveysalan ohjaus-, valvonta-, tutkimus- ja tilastotarkoituksessa tallennettujen henkilötietojen tehokas ja tietoturvallinen käsittely, sekä niiden yhdistäminen Kansaneläkelaitoksen, Väestörekisterikeskuksen, Tilastokeskuksen ja Eläketurvakeskuksen henkilötietoihin. Lain tavoitteena on lisäksi turvata yksilön luottamuksensuoja sekä oikeudet ja vapaudet henkilötietoja käsiteltäessä. 2 Soveltamisala Tässä laissa annetaan luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) annettua Euroopan parlamentin ja neuvoston asetusta 2016/679, jäljempänä tietosuoja-asetus, täydentävät säännökset, kun 1 :ssä tarkoitettuja henkilötietoja käsitellään seuraaviin käyttötarkoituksiin, vaikka niitä ei olisi alun perin tallennettu mainitussa tarkoituksessa: -tilastointi; -tieteellinen tutkimus; -kehittämis- ja innovaatiotoiminta; -opetus; -tietojohtaminen; -sosiaali- ja terveydenhuollon viranomaisohjaus ja -valvonta; sekä -viranomaisen suunnittelu- ja selvitystehtävä. Organisaatioista, joiden tietoja saa tämän lain nojalla käsitellä 1 momentin mukaisesti sekä tietojen käsittelyyn liittyvistä rajauksista säädetään 6 ja 7 :ssä.

2 2(41) Luovutusperusteista sekä vastaanottajan oikeudesta käsitellä luovutettuja henkilötietoja 1 momentissa tarkoitettuihin käyttötarkoituksiin säädetään 4 ja 5 luvussa. 3 Määritelmät Tässä laissa tarkoitetaan: 1) asiakastiedolla lain mukaan salassa pidettävää, tietosuoja-asetuksen 4 artiklan 1 kohdan mukaista henkilötietoa, joka on tallennettu sosiaali- ja terveydenhuollon tai etuuskäsittelyn asiakassuhteessa asiakasrekisteriin tai asiakkuuteen liittyvään hallinnolliseen rekisteriin; 2) henkilötietojen ensisijaisella käyttötarkoituksella sellaista käyttötarkoitusta, jossa henkilötiedot on alun perin tallennettu; 3) henkilötietojen toissijaisella käyttötarkoituksella henkilötietojen käsittelyä muussa käyttötarkoituksessa kuin 2 kohdan tarkoittamassa ensisijaisessa käyttötarkoituksessa; 4) kehittämis- ja innovaatiotoiminnalla teknisen ja liiketoimintatiedon sekä olemassa olevan muun tiedon soveltamista ja käyttöä yhdessä tässä laissa tarkoitettujen henkilötietojen kanssa, kun tavoitteena on kehittää uusia tai merkittävästi parannettuja tuotteita, prosesseja tai palveluja; 5) tietojohtamisella tiedon käsittelemistä palvelunantajan asiakas-, palvelu- ja tuotantoprosesseissa toiminnan, tuotannon ja talouden ohjauksen, johtamisen ja päätöksenteon tukena; 6) sosiaali- ja terveydenhuollon viranomaisohjauksella kansallisten sosiaali- ja terveydenhuollon viranomaisten lainsäädäntöön perustuvaa alan toimijoiden ohjausta, joka pohjautuu tarkoitukseen koottuihin henkilö- ja tilastotietoihin taikka tietoihin, jotka on yksittäistapauksessa saatu ohjaus- tai valvontatehtävää varten; 7) sosiaali- ja terveydenhuollon viranomaisvalvonnalla kansallisten sosiaali- ja terveydenhuollon viranomaisten lainsäädäntöön perustuvaa sosiaali- ja terveydenhuollon ammattihenkilöiden ja toimintayksiköiden valvontaa; 8) käyttöluvalla tämän lain mukaisesti myönnettyä lupaa käsitellä luvassa määriteltyjä salassa pidettäviä henkilötietoja luvassa mainittuun käyttötarkoitukseen; 9) tietopyynnöllä pyyntöä saada henkilötietoja tämän lain mukaiseen käyttötarkoitukseen anonymisoituna; 10) tietoturvallisella käyttöpalvelulla tietoturvallista ratkaisua, jonka kautta osapuolet voivat luovuttaa ja vastaanottaa käyttörajoituksen alaisia tietoja; Luovutusperusteista sekä vastaanottajan oikeudesta käsitellä luovutettuja henkilötietoja 1 momentissa tarkoitettuihin käyttötarkoituksiin säädetään 4 ja 5 luvussa. 3 Määritelmät Tässä laissa tarkoitetaan: 1) asiakastiedolla lain mukaan salassa pidettävää, tietosuoja-asetuksen 4 artiklan 1 kohdan mukaista henkilötietoa, joka on tallennettu sosiaali- ja terveydenhuollon tai etuuskäsittelyn asiakassuhteessa asiakasrekisteriin tai asiakkuuteen liittyvään hallinnolliseen rekisteriin; 2) henkilötietojen ensisijaisella käyttötarkoituksella sellaista käyttötarkoitusta, jossa henkilötiedot on alun perin tallennettu; 3) henkilötietojen toissijaisella käyttötarkoituksella henkilötietojen käsittelyä muussa käyttötarkoituksessa kuin 2 kohdan tarkoittamassa ensisijaisessa käyttötarkoituksessa; 4) kehittämis- ja innovaatiotoiminnalla teknisen ja liiketoimintatiedon sekä olemassa olevan muun tiedon soveltamista ja käyttöä yhdessä tässä laissa tarkoitettujen henkilötietojen kanssa, kun tavoitteena on kehittää uusia tai merkittävästi parannettuja tuotteita, prosesseja tai palveluja; 5) tietojohtamisella tiedon käsittelemistä palvelunantajan asiakas-, palvelu- ja tuotantoprosesseissa toiminnan, tuotannon ja talouden ohjauksen, johtamisen ja päätöksenteon tukena; 6) sosiaali- ja terveydenhuollon viranomaisohjauksella kansallisten sosiaali- ja terveydenhuollon viranomaisten lainsäädäntöön perustuvaa alan toimijoiden ohjausta, joka pohjautuu tarkoitukseen koottuihin henkilö- ja tilastotietoihin taikka tietoihin, jotka on yksittäistapauksessa saatu ohjaus- tai valvontatehtävää varten; 7) sosiaali- ja terveydenhuollon viranomaisvalvonnalla kansallisten sosiaali- ja terveydenhuollon viranomaisten lainsäädäntöön perustuvaa sosiaali- ja terveydenhuollon ammattihenkilöiden ja toimintayksiköiden valvontaa; 8) tietoluvalla tämän lain mukaisesti myönnettyä lupaa käsitellä luvassa määriteltyjä salassa pidettäviä henkilötietoja luvassa mainittuun käyttötarkoitukseen; 9) tietopyynnöllä pyyntöä saada tämän lain mukaiseen käyttötarkoitukseen tässä laissa tarkoitetuista henkilötiedoista muodostettua aggrekoitua tilastotietoa;

3 3(41) 11) tietoturvallisella käyttöympäristöllä teknistä, organisatorista ja fyysistä tietojen käsittelyn toimintaympäristöä jossa tietoturvallisuus on varmistettu asianmukaisin hallinnollisin ja teknisin toimin; 12) tietopyyntöjen hallintajärjestelmällä järjestelmää, jonka välityksellä käyttöluvan hakija tai tietoja tämän lain perusteella muutoin pyytävä toimittaa käyttölupahakemuksen tai tämän lain mukaisen tietopyynnön ja sen liitteet viranomaiselle ja jossa käyttölupaa tai tietopyyntöä koskeva päätös annetaan tiedoksi luvan hakijalle; 13) palvelunantajalla sosiaali- ja terveydenhuoltoa tai sosiaali- ja terveyspalveluja järjestävää, tuottavaa tai toteuttavaa viranomaista taikka yksityistä palvelujen tuottajaa, jota tarkoitetaan yksityisistä sosiaalipalveluista annetussa laissa (922/2011) tai yksityisestä terveydenhuollosta annetussa laissa (152/1990); 14) palvelunjärjestäjällä sosiaali- tai terveydenhuollon palvelunantajaa, jolla on: a) viranomaisena velvollisuus huolehtia siitä, että asiakas saa hänelle lain tai viranomaisen päätöksen mukaan kuuluvan palvelun tai etuuden; taikka b) yksityisenä palvelunantajana velvollisuus huolehtia siitä, että yksityisesti palvelun ostava asiakas saa kuluttajansuojaa koskevien säännösten mukaisen, hänelle kuuluvan palvelun; 15) palveluntuottajalla palvelunantajaa, joka palvelunjärjestäjän kanssa tehdyn sopimuksen perusteella tai muutoin palvelunjärjestäjän lukuun tuottaa sosiaalitai terveyspalvelua; 16) palveluntarjoajalla toimijaa, joka tarjoaa asiakkailleen tietoturvalliseen käyttöympäristöön liittyviä palveluita; 17) tiedonhyödyntämissuunnitelmalla tutkimussuunnitelmaa, hankesuunnitelmaa ja vastaavaa suunnitelmaa, josta ilmenevät lupahakemuksessa tarkoitettujen tietojen käyttötarkoitus, niiden rekisterinpitäjä ja käsittelijät, käsittelyn oikeudellinen peruste sekä tietojen käsittelyn tietosuojaan ja tietoturvaan liittyvät olennaiset seikat kattaen koko tietojen elinkaaren mukaan lukien tietojen säilytys sekä hävittäminen tai arkistointi; 18) valmisaineistolla aineistokokonaisuutta, jotka 4 :ssä tarkoitettu Sosiaali- ja terveysalan käyttölupaviranomainen on koostanut yhden tai useamman kuin yhden organisaation tiedoista ja yhdistänyt yhdeksi aineistoksi taikka tallentanut siten, että aineistojen tunnistetiedot on koodattu yhdenmukaisella koodilla; 10) tietoturvallisella käyttöpalvelulla tietoturvallista ratkaisua, jonka kautta osapuolet voivat luovuttaa ja vastaanottaa käyttörajoituksen alaisia tietoja; 11) tietoturvallisella käyttöympäristöllä teknistä, organisatorista ja fyysistä tietojen käsittelyn toimintaympäristöä, jossa tietoturvallisuus on varmistettu asianmukaisin hallinnollisin ja teknisin toimin; 12) tietopyyntöjen hallintajärjestelmällä järjestelmää, jonka välityksellä tietoluvan hakija tai tietoja tämän lain perusteella muutoin pyytävä toimittaa tietolupahakemuksen tai tämän lain mukaisen tietopyynnön ja sen liitteet viranomaiselle ja jossa tietolupaa tai tietopyyntöä koskeva päätös annetaan tiedoksi luvan hakijalle; 13) palvelunantajalla sosiaali- ja terveydenhuoltoa tai sosiaali- ja terveyspalveluja järjestävää, tuottavaa tai toteuttavaa viranomaista taikka yksityistä palvelujen tuottajaa, jota tarkoitetaan yksityisistä sosiaalipalveluista annetussa laissa (922/2011) tai yksityisestä terveydenhuollosta annetussa laissa (152/1990); 14) palvelunjärjestäjällä sosiaali- tai terveydenhuollon palvelunantajaa, jolla on: a) viranomaisena velvollisuus huolehtia siitä, että asiakas saa hänelle lain tai viranomaisen päätöksen mukaan kuuluvan palvelun tai etuuden; taikka b) yksityisenä palvelunantajana velvollisuus huolehtia siitä, että yksityisesti palvelun ostava asiakas saa kuluttajansuojaa koskevien säännösten mukaisen, hänelle kuuluvan palvelun; 15) palveluntuottajalla palvelunantajaa, joka palvelunjärjestäjän kanssa tehdyn sopimuksen perusteella tai muutoin palvelunjärjestäjän lukuun tuottaa sosiaalitai terveyspalvelua; 16) palveluntarjoajalla toimijaa, joka tarjoaa asiakkailleen tietoturvalliseen käyttöympäristöön liittyviä palveluita; 17) tiedonhyödyntämissuunnitelmalla tutkimussuunnitelmaa, hankesuunnitelmaa ja vastaavaa suunnitelmaa, josta ilmenevät lupahakemuksessa tarkoitettujen tietojen käyttötarkoitus, niiden rekisterinpitäjä ja käsittelijät, käsittelyn oikeudellinen peruste sekä tietojen käsittelyn tietosuojaan ja tietoturvaan liittyvät olennaiset seikat kattaen koko tietojen elinkaaren mukaan lukien tietojen säilytys sekä hävittäminen tai arkistointi; 18) aggrekoidulla tiedolla tilastomuotoista, luotettavasti anonymisoitua tietoa; 18 19) valmisaineistolla aineistokokonaisuutta, jotka 4 :ssä tarkoitettu Sosiaalija terveysalan tietolupaviranomainen on koostanut yhden tai useamman kuin yhden organisaation tiedoista ja yhdistänyt yhdeksi aineistoksi taikka tallentanut siten, että aineistojen tunnistetiedot on koodattu yhdenmukaisella koodilla;

4 4(41) 19) tietoturvallisuuden arviointilaitoksella sellaista yritystä, yhteisöä ja viranomaista, jonka Viestintävirasto on hyväksynyt tietoturvallisuuden arviointilaitoksista annetun lain (1405/2011) perusteella arvioimaan sitä, täyttääkö tietojärjestelmä tietoturvallisuutta koskevat vaatimukset. 2 luku Viranomaiset ja organisaatiot 4 Sosiaali- ja terveysalan käyttölupaviranomainen Tässä laissa tarkoitettu Sosiaali- ja terveysalan käyttölupaviranomainen toimii Terveyden ja hyvinvoinnin laitoksen yhteydessä. Käyttölupaviranomaiselle säädetyistä tehtävistä vastaa laitoksessa yksikkö, joka on eriytetty Terveyden ja hyvinvoinnin laitoksesta annetun lain (668/2008) 2 :ssä säädetyistä tehtävistä. Käyttölupaviranomainen toimii sosiaali- ja terveysministeriön tulosohjauksessa, ja sillä on erillinen ohjausryhmä. 5 Sosiaali- ja terveysalan käyttölupaviranomaisen tehtävät Sosiaali- ja terveysalan käyttölupaviranomainen tekee muiden rekisterinpitäjien aineistoja koskevia käyttölupapäätöksiä sekä vastaa käyttölupapäätösten mukaisten tietojen kokoamisesta, yhdistelystä ja luovuttamisesta toissijaiseen käyttöön tämän lain mukaisesti. Lisäksi käyttölupaviranomainen saa koota tässä laissa säädettyä käyttötarkoitusta varten tietopyynnön perusteella eri rekisterinpitäjien henkilötietoja ja niitä yhdistelemällä tuottaa anonyymeja tietoja pyytäjän käyttöön. Käyttölupaviranomainen ylläpitää tietopyyntöjen hallintajärjestelmää tietopyyntöjen ja lupahakemusten välittämiseksi ja käsittelemiseksi sekä tietoturvallista käyttöpalvelua henkilötietojen vastaanottamiseksi ja luovuttamiseksi. Lisäksi käyttölupaviranomainen ylläpitää tietoturvallista käyttöympäristöä, jossa luvansaajan on mahdollista käsitellä käyttöluvan perusteella saamiaan henkilötietoja. Käyttölupaviranomainen valvoo myöntämänsä luvan ehtojen noudattamista. Se saa peruttaa käyttöluvan, jos luvansaaja ei noudata lakia tai rikkoo luvan ehtoja ) tietoturvallisuuden arviointilaitoksella sellaista yritystä, yhteisöä ja viranomaista, jonka Viestintävirasto on hyväksynyt tietoturvallisuuden arviointilaitoksista annetun lain (1405/2011) perusteella arvioimaan sitä, täyttääkö tietojärjestelmä tietoturvallisuutta koskevat vaatimukset. 2 luku Viranomaiset ja organisaatiot 4 Sosiaali- ja terveysalan tietolupaviranomainen Tässä laissa tarkoitettu Sosiaali- ja terveysalan tietolupaviranomainen (Tietolupaviranomainen) toimii Terveyden ja hyvinvoinnin laitoksen yhteydessä. Tietolupaviranomaiselle säädetyistä tehtävistä vastaa laitoksessa yksikkö, joka on eriytetty Terveyden ja hyvinvoinnin laitoksesta annetun lain (668/2008) 2 :ssä säädetyistä tehtävistä. Tietolupaviranomainen toimii sosiaali- ja terveysministeriön tulosohjauksessa, ja sillä on erillinen sosiaali- ja terveysministeriön nimittämä johtaja sekä ministeriön asettama ohjausryhmä. 5 Sosiaali- ja terveysalan tietolupaviranomaisen tehtävät Sosiaali- ja terveysalan tietolupaviranomainen tekee muiden rekisterinpitäjien aineistoja koskevia tietolupapäätöksiä sekä vastaa tietolupapäätösten mukaisten tietojen kokoamisesta, yhdistelystä ja luovuttamisesta toissijaiseen käyttöön tämän lain mukaisesti. Lisäksi tietolupaviranomainen saa koota tässä laissa säädettyä käyttötarkoitusta varten tietopyynnön perusteella eri rekisterinpitäjien henkilötietoja ja niitä yhdistelemällä tuottaa anonyymeja tietoja pyytäjän käyttöön. Tietolupaviranomainen ylläpitää tietopyyntöjen hallintajärjestelmää tietopyyntöjen ja lupahakemusten välittämiseksi ja käsittelemiseksi sekä tietoturvallista käyttöpalvelua henkilötietojen vastaanottamiseksi ja luovuttamiseksi. Lisäksi tietolupaviranomainen ylläpitää tietoturvallista käyttöympäristöä, jossa luvansaajan on mahdollista käsitellä tietoluvan perusteella saamiaan henkilötietoja. Tietolupaviranomainen valvoo myöntämänsä luvan ehtojen noudattamista. Se saa peruttaa tietoluvan, jos luvansaaja ei noudata lakia tai rikkoo luvan ehtoja.

5 5(41) 6 Palveluista vastaavat viranomaiset ja organisaatiot sekä tietoaineistorajaukset Palveluista, joita tarvitaan sosiaali- ja terveydenhuollon asiakastietojen sekä niihin yhdistettävien muiden tässä laissa tarkoitettujen henkilötietojen käsittelemiseksi 2 :n mukaisiin tarkoituksiin, säädetään 3 luvussa. Vastuu niiden tuottamisesta on Sosiaali- ja terveysalan käyttölupaviranomaisella sekä seuraavilla viranomaisilla ja organisaatioilla: 1) sosiaali- ja terveysministeriö; 2) Terveyden ja hyvinvoinnin laitos lukuun ottamatta sen tilastoviranomaisena tilastotarkoituksiin keräämiä tietoja; 3) Kansaneläkelaitos siltä osin kuin tämän lain mukaisiin tarkoituksiin tarvitaan etuuskäsittelyn asiakassuhteessa tallennettuja henkilötietoja sekä sähköisestä lääkemääräyksestä annetun lain (61/2007) 3 :n 1 momentin 4 kohdassa tarkoitettuun reseptikeskukseen ja 5 kohdassa tarkoitettuun reseptiarkistoon tallennettuja tietoja lääkemääräyksistä ja niihin liittyvistä toimitustiedoista; 4) Sosiaali- ja terveysalan lupa- ja valvontavirasto; 5) aluehallintovirastot siltä osin kuin ne käsittelevät sosiaali- ja terveydenhuoltoon liittyviä asioita; 6) Työterveyslaitos; 7) Lääkealan turvallisuus- ja kehittämiskeskus; 8) sosiaali- ja terveydenhuollon julkiset palvelunjärjestäjät; 9) Tilastokeskus siltä osin kuin tämän lain mukaisiin tarkoituksiin tarvitaan kuolemansyyn selvittämisestä annetussa laissa (459/1973) tarkoitettuja tietoja; 10) Eläketurvakeskus siltä osin kuin tämän lain mukaisiin tarkoituksiin tarvitaan Eläketurvakeskuksen rekistereihin sisältyviä välttämättömiä henkilötietoja, jotka koskevat työeläketurvan toimeenpanossa tallennettuja vakuutettujen työ- ja ansiotietoja sekä myönnettyjä etuuksia ja niiden perusteita mukaan lukien työkyvyttömyyseläkkeiden diagnoosit; 11) Väestörekisterikeskus siltä osin kuin tämän lain mukaisiin tarkoituksiin tarvitaan henkilöiden perustietoja, henkilöiden perhesuhteita ja asuinpaikkoja koskevia tietoja sekä rakennustietoja väestötietojärjestelmästä. 7 Tilastoviranomaisten tietojen käsittelyä koskevat poikkeukset 6 Palveluista vastaavat viranomaiset ja organisaatiot sekä tietoaineistorajaukset Palveluista, joita tarvitaan sosiaali- ja terveydenhuollon asiakastietojen sekä niihin yhdistettävien muiden tässä laissa tarkoitettujen henkilötietojen käsittelemiseksi 2 :n mukaisiin tarkoituksiin, säädetään 3 luvussa. Vastuu niiden tuottamisesta on Sosiaali- ja terveysalan tietolupaviranomaisella sekä seuraavilla viranomaisilla ja organisaatioilla: 1) sosiaali- ja terveysministeriö; 2) Terveyden ja hyvinvoinnin laitos lukuun ottamatta sen tilastoviranomaisena tilastotarkoituksiin keräämiä tietoja; 3) Kansaneläkelaitos siltä osin kuin tämän lain mukaisiin tarkoituksiin tarvitaan etuuskäsittelyn asiakassuhteessa tallennettuja henkilötietoja sekä sähköisestä lääkemääräyksestä annetun lain (61/2007) 3 :n 1 momentin 4 kohdassa tarkoitettuun reseptikeskukseen ja 5 kohdassa tarkoitettuun reseptiarkistoon tallennettuja tietoja lääkemääräyksistä ja niihin liittyvistä toimitustiedoista; 4) Sosiaali- ja terveysalan lupa- ja valvontavirasto; 5) aluehallintovirastot siltä osin kuin ne käsittelevät sosiaali- ja terveydenhuoltoon liittyviä asioita; 6) Työterveyslaitos siltä osin kuin tämän lain mukaisiin tarkoituksiin tarvitaan tietoja työperäisten sairauksien ja altistumismittausten rekistereistä sekä laitoksen potilasrekistereistä; 7) Lääkealan turvallisuus- ja kehittämiskeskus; 8) sosiaali- ja terveydenhuollon julkiset palvelunjärjestäjät; 9) Tilastokeskus siltä osin kuin tämän lain mukaisiin tarkoituksiin tarvitaan kuolemansyyn selvittämisestä annetussa laissa (459/1973) tarkoitettuja tietoja; 10) Eläketurvakeskus siltä osin kuin tämän lain mukaisiin tarkoituksiin tarvitaan Eläketurvakeskuksen rekistereihin sisältyviä välttämättömiä henkilötietoja, jotka koskevat työeläketurvan toimeenpanossa tallennettuja vakuutettujen työ- ja ansiotietoja sekä myönnettyjä etuuksia ja niiden perusteita mukaan lukien työkyvyttömyyseläkkeiden diagnoosit; 11) Väestörekisterikeskus siltä osin kuin tämän lain mukaisiin tarkoituksiin tarvitaan henkilöiden perustietoja, henkilöiden perhesuhteita ja asuinpaikkoja koskevia tietoja sekä rakennustietoja väestötietojärjestelmästä. 7 Tilastoviranomaisten tietojen käsittelyä koskevat poikkeukset

6 6(41) Tilastokeskus sekä Terveyden ja hyvinvoinnin laitos tilastoviranomaisena (tilastoviranomaiset) vastaavat tilastoviranomaisena tilastotarkoituksiin keräämiensä tietojen käyttöluvista tieteellistä tutkimusta varten sekä samaan tutkimussuunnitelmaan liittyvien tietojen yhdistelystä omiin tietoihinsa ja niiden pseudonymisoinnista tai anonymisoinnista tilastolain (280/2004) mukaisesti. Lupahakemus, joka koskee muita, tässä laissa tarkoitettuja tietoja sekä tilastoviranomaisten tilastotarkoituksissa keräämiä tietoja, toimitetaan Tilastokeskukselle sekä Terveyden ja hyvinvoinnin laitokselle 16 :ssä tarkoitetun tietopyyntöjen hallintajärjestelmän välityksellä. Myös lupahakemuksen käsittelyyn liittyvä yhteydenpito luvanhakijaan ja päätöksen tiedoksianto toteutetaan sanotun hallintajärjestelmän välityksellä. Käyttöoikeuden toteuttamisesta tilastolain mukaisesti yhdisteltyihin, tässä laissa tarkoitettuihin tietoihin säädetään 51 :n 2 momentissa. 8 Sosiaali- ja terveysalan käyttölupaviranomaisen toiminnan ohjaus ja rekisterinpitäjien yhteistoiminnan kehittäminen Sosiaali- ja terveysalan käyttölupaviranomaisen toiminnan ohjausta ja palveluista vastaavien organisaatioiden yhteisen toiminnan kehittämistä varten sosiaali- ja terveysministeriö asettaa käyttölupaviranomaiselle ohjausryhmän kolmivuotiskaudeksi, sekä nimittää ohjausryhmän puheenjohtajan. Sosiaali- ja terveysministeriö nimeää ohjausryhmään jäseniksi: 6 :ssä mainittujen organisaatioiden ja viranomaisten esitysten pohjalta kuusi edustajaa; yhden jäsenen edustamaan kuntia sosiaali- ja terveyspalvelujen järjestäjänä; yhden jäsenen edustamaan kuntia ehkäisevän sosiaali- ja terveydenhuollon järjestäjänä Kuntaliiton esityksen pohjalta; yhden jäsenen edustamaan yksityisten sosiaali- ja terveyspalvelujen järjestäjiä. Ohjausryhmän tehtävänä on käsitellä ja tehdä esitys Terveyden ja hyvinvoinnin laitokselle ja sosiaali- ja terveysministeriölle: käyttölupaviranomaisen vuosittaisesta toimintasuunnitelmasta ja siihen liittyvästä talousarviosta; toimintakertomuksesta ja tilinpäätöksestä käyttölupaviranomaista koskevilta osin; rekisterinpitäjien toiminnan yhteisestä kehittämisestä ja siihen suunnattavista voimavaroista; Tilastokeskus sekä Terveyden ja hyvinvoinnin laitos tilastoviranomaisena (tilastoviranomaiset) vastaavat tilastoviranomaisena tilastotarkoituksiin keräämiensä tietojen tietoluvista tieteellistä tutkimusta varten sekä samaan tutkimussuunnitelmaan liittyvien tietojen yhdistelystä omiin tietoihinsa ja niiden pseudonymisoinnista tai anonymisoinnista tilastolain (280/2004) mukaisesti. Lupahakemus, joka koskee muita, tässä laissa tarkoitettuja tietoja sekä tilastoviranomaisten tilastotarkoituksissa keräämiä tietoja, toimitetaan Tilastokeskukselle sekä Terveyden ja hyvinvoinnin laitokselle 16 :ssä tarkoitetun tietopyyntöjen hallintajärjestelmän välityksellä. Myös lupahakemuksen käsittelyyn liittyvä yhteydenpito luvanhakijaan ja päätöksen tiedoksianto toteutetaan sanotun hallintajärjestelmän välityksellä. Käyttöoikeuden toteuttamisesta tilastolain mukaisesti yhdisteltyihin, tässä laissa tarkoitettuihin tietoihin säädetään 51 :n 2 momentissa. 8 Sosiaali- ja terveysalan tietolupaviranomaisen toiminnan ohjaus ja rekisterinpitäjien yhteistoiminnan kehittäminen Sosiaali- ja terveysalan tietolupaviranomaisen toiminnan ohjausta ja palveluista vastaavien organisaatioiden yhteisen toiminnan kehittämistä varten sosiaali- ja terveysministeriö asettaa tietolupaviranomaiselle ohjausryhmän kolmivuotiskaudeksi, sekä nimittää ohjausryhmän puheenjohtajan. Sosiaali- ja terveysministeriö nimeää ohjausryhmään jäseniksi: 6 :ssä mainittujen organisaatioiden ja viranomaisten esitysten pohjalta kuusi edustajaa; yhden jäsenen edustamaan kuntia sosiaali- ja terveyspalvelujen järjestäjänä; yhden jäsenen edustamaan kuntia ehkäisevän sosiaali- ja terveydenhuollon järjestäjänä Kuntaliiton esityksen pohjalta; yhden jäsenen edustamaan yksityisten sosiaali- ja terveyspalvelujen järjestäjiä. Ohjausryhmän tehtävänä on käsitellä ja tehdä esitys Terveyden ja hyvinvoinnin laitokselle ja sosiaali- ja terveysministeriölle: tietolupaviranomaisen vuosittaisesta toimintasuunnitelmasta ja siihen liittyvästä talousarviosta; toimintakertomuksesta ja tilinpäätöksestä tietolupaviranomaista koskevilta osin; rekisterinpitäjien toiminnan yhteisestä kehittämisestä ja siihen suunnattavista voimavaroista; kullekin toimijalle suunnattavista voimavaroista tietojärjestelmien ja yhteistoiminnan kehittämiseksi.

7 7(41) kullekin toimijalle suunnattavista voimavaroista tietojärjestelmien ja yhteistoiminnan kehittämiseksi. Ohjausryhmä seuraa käyttölupaviranomaisen toiminnan ja palvelujen toimivuutta ja 47 :ssä tarkoitettuja lupakäsittelyyn liittyviä sekä 48 :ssä tarkoitettuja tietojen luovutusta koskevia määräaikoja. Lisäksi ohjausryhmä: voi asettaa tavoitemittareita käyttölupaviranomaisen toimintaprosesseille ja käynnistää niihin kohdistuvia ulkoisia auditointeja; voi tehdä tarvittaessa ehdotuksen käyttölupaviranomaisen toiminnan kehittämisestä Terveyden ja hyvinvoinnin laitokselle ja sosiaali- ja terveysministeriölle; voi asettaa käyttölupaviranomaisen toimintaa tukevia asiantuntijaryhmiä. 9 Mahdollisuus perustaa osakeyhtiö Sosiaali- ja terveysministeriö saa perustaa Sosiaali- ja terveysalan käyttölupaviranomaisen alaisuudessa toimivan osakeyhtiön yksin taikka yhden tai useamman 6 :ssä tarkoitetun organisaation, opetus- ja kulttuuriministeriön, työ- ja elinkeinoministeriön tai valtiovarainministeriön kanssa. Yhtiö on valtion omistuksessa ja hallinnassa. Yhtiön omistajaohjauksesta ja sen osakkeiden hallinnoinnista vastaa sosiaali- ja terveysministeriö. Yhtiön tarkoituksena ei ole tuottaa voittoa. Yhtiölle voidaan antaa 10 :n 3 7 kohdassa tarkoitettuihin palveluihin liittyviä tehtäviä. Valtioneuvoston asetuksella voidaan antaa tarkempia säännöksiä yhtiön tehtävistä. Terveyden ja hyvinvoinnin laitos tai Sosiaali- ja terveysalan käyttölupaviranomainen voi tuottaa osakeyhtiölle hallinnollisia palveluja ja muita tukipalveluja markkinahintaista korvausta vastaan. Yhtiön on annettava sosiaali- ja terveysministeriölle sen pyynnöstä tiedot, jotka ovat tarpeen yhtiön ohjaamiseksi ja valvomiseksi. Yhtiön asiakirjoihin sovelletaan, mitä viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999), jäljempänä julkisuuslaki, säädetään viranomaisen asiakirjasta. Ohjausryhmä seuraa tietolupaviranomaisen toiminnan ja palvelujen toimivuutta ja 47 :ssä tarkoitettuja lupakäsittelyyn liittyviä sekä 48 :ssä tarkoitettuja tietojen luovutusta koskevia määräaikoja. Lisäksi ohjausryhmä: voi asettaa tavoitemittareita tietolupaviranomaisen toimintaprosesseille ja käynnistää niihin kohdistuvia ulkoisia auditointeja; voi tehdä tarvittaessa ehdotuksen tietolupaviranomaisen toiminnan kehittämisestä Terveyden ja hyvinvoinnin laitokselle ja sosiaali- ja terveysministeriölle; voi asettaa tietolupaviranomaisen toimintaa tukevia asiantuntijaryhmiä. Sosiaali- ja terveysministeriö asettaa Sosiaali- ja terveysalan tietolupaviranomaiselle korkean tason asiantuntijaryhmän, jonka tehtävänä on laatia anonymisointia, tietosuojaa ja tietoturvaa koskevat toiminnan periaatelinjaukset. Asiantuntijaryhmässä on oltava tekoälyn, data-analytiikan, tietoturvan, tietosuojan, alan tutkimuksen ja tilastotieteen asiantuntija sekä tietolupaviranomaisen edustaja. Sosiaali- ja terveysministeriön asetuksella voidaan säätää tarkemmin asiantuntijaryhmän tehtävistä sekä sen jäsenten määrästä ja kelpoisuusehdoista. 9 Mahdollisuus perustaa osakeyhtiö Sosiaali- ja terveysministeriö saa perustaa Sosiaali- ja terveysalan tietolupaviranomaisen alaisuudessa toimivan osakeyhtiön yksin taikka yhden tai useamman 6 :ssä tarkoitetun organisaation, opetus- ja kulttuuriministeriön, työ- ja elinkeinoministeriön tai valtiovarainministeriön kanssa. Yhtiö on valtion omistuksessa ja hallinnassa. Yhtiön omistajaohjauksesta ja sen osakkeiden hallinnoinnista vastaa sosiaali- ja terveysministeriö. Yhtiön tarkoituksena ei ole tuottaa voittoa. Yhtiölle voidaan antaa 10 :n 3 7 kohdassa tarkoitettuihin palveluihin liittyviä tehtäviä. Valtioneuvoston asetuksella voidaan antaa tarkempia säännöksiä yhtiön tehtävistä. Terveyden ja hyvinvoinnin laitos tai Sosiaali- ja terveysalan tietolupaviranomainen voi tuottaa osakeyhtiölle hallinnollisia palveluja ja muita tukipalveluja markkinahintaista korvausta vastaan. Yhtiön on annettava sosiaali- ja terveysministeriölle sen pyynnöstä tiedot, jotka ovat tarpeen yhtiön ohjaamiseksi ja valvomiseksi. Yhtiön asiakirjoihin sovelletaan, mitä viranomaisten toiminnan julkisuudesta annetussa laissa

8 8(41) Yhtiön toimintaan voidaan myöntää valtionavustusta valtion talousarvioon otettavien määrärahojen rajoissa. Valtionavustuksesta säädetään valtionavustuslaissa (688/2001). Yhtiön palveluksessa olevaan henkilöön ja yhtiön hallituksen jäseniin sovelletaan rikosoikeudellista virkavastuuta koskevia säännöksiä. 3 luku Toissijaisen käytön mahdollistavat palvelut Tietopalvelut 10 Organisaatioiden toissijaista käyttöä varten tuottamat palvelut Rekisteritietojen toissijaista käyttöä varten ylläpidetään seuraavia 6 :ssä tarkoitettujen organisaatioiden palveluita: tietoaineistojen kuvaukset; neuvontapalvelu; tietojen kokoamis-, yhdistämis- ja esikäsittelypalvelu; tunnisteiden hallinnointipalvelu; tietopyyntöjen hallintajärjestelmä; tietoturvallinen käyttöpalvelu; tietoturvallinen käyttöympäristö. 11 Organisaatioiden vastuut palveluista Sosiaali- ja terveysalan käyttölupaviranomainen vastaa 10 :n 3 7 kohdassa tarkoitetuista palveluista, jos käyttölupahakemus tai tämän lain mukainen tietopyyntö koskee usean 6 :ssä tarkoitetun rekisterinpitäjän henkilörekistereitä tai sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetussa laissa (159/2007), jäljempänä asiakastietolaki, tarkoitettuihin valtakunnallisiin tietojärjestelmäpalveluihin (Kanta-palvelut) tallennettuja tietoja taikka tietoja luovutetaan yhden tai usean organisaation rekistereistä 38 :ssä tarkoitettuun kehittämis- ja innovaatiotoimintaan. Sosiaali- ja terveysalan käyttölupaviranomainen vastaa kuitenkin Eläketurvakeskuksen, Väestörekisterikeskuksen ja Tilastokeskuksen tietoihin kohdistuvista palveluista vain, jos kyseisiä tietoja yhdistetään 6 :n 1 8 kohdassa tarkoitettujen organisaatioiden tietoihin. (621/1999), jäljempänä julkisuuslaki, säädetään viranomaisen asiakirjasta. Päätöksen siitä, ettei yhtiön asiakirjaa luovuteta sitä pyytäneelle, tekee Sosiaali- ja terveysalan tietolupaviranomainen julkisuuslain 4 luvun mukaisesti. Yhtiön toimintaan voidaan myöntää valtionavustusta valtion talousarvioon otettavien määrärahojen rajoissa. Valtionavustuksesta säädetään valtionavustuslaissa (688/2001). Yhtiön palveluksessa olevaan henkilöön ja yhtiön hallituksen jäseniin sovelletaan rikosoikeudellista virkavastuuta koskevia säännöksiä. 3 luku Toissijaisen käytön mahdollistavat palvelut Tietopalvelut 10 Organisaatioiden toissijaista käyttöä varten tuottamat palvelut Rekisteritietojen toissijaista käyttöä varten ylläpidetään seuraavia 6 :ssä tarkoitettujen organisaatioiden palveluita: 1) tietoaineistojen kuvaukset; 2) neuvontapalvelu; 3) tietojen kokoamis-, yhdistämis- ja esikäsittelypalvelu; 4) tunnisteiden hallinnointipalvelu; 5) tietopyyntöjen hallintajärjestelmä; 6) tietoturvallinen käyttöpalvelu; 7) tietoturvallinen käyttöympäristö. 11 Organisaatioiden vastuut palveluista Sosiaali- ja terveysalan tietolupaviranomainen vastaa 10 :n 3 7 kohdassa tarkoitetuista palveluista, jos tietolupahakemus tai tämän lain mukainen tietopyyntö koskee usean 6 :ssä tarkoitetun rekisterinpitäjän henkilörekistereitä tai sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä annetussa laissa (159/2007), jäljempänä asiakastietolaki, tarkoitettuihin valtakunnallisiin tietojärjestelmäpalveluihin (Kanta-palvelut) tallennettuja tietoja taikka tietoja luovutetaan yhden tai usean organisaation rekistereistä 38 :ssä tarkoitettuun kehittämis- ja innovaatiotoimintaan. Sosiaali- ja terveysalan tietolupaviranomainen

9 9(41) Jos tietopyyntö tai käyttölupahakemus koskee vain yhden 6 :ssä tarkoitetun organisaation henkilörekistereissä olevia tietoja, sanottu organisaatio vastaa itse kaikista 10 :ssä tarkoitetuista palveluista. Sosiaali- ja terveysalan käyttölupaviranomainen voi kuitenkin sopia muiden 6 :ssä tarkoitettujen organisaatioiden kanssa, että se hoitaa kaikki tai osan tässä momentissa tarkoitetuista palveluista sopimuksen tehneen organisaation puolesta. Sosiaali- ja terveysalan käyttölupaviranomainen vastaa aina 10 :n 3 7 kohdassa tarkoitetuista palveluista, jos käyttölupahakemus tai tämän lain mukainen tietopyyntö koskee yhden tai usean yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja. 12 Tietoaineistojen kuvaukset Edellä 6 :ssä tarkoitettujen organisaatioiden on rekisterinpitäjänä laadittava aineistokuvaukset tietovarantojensa tietosisällöistä siten, että niiden perusteella on mahdollista arvioida rekisteritietojen soveltuvuutta 2 :ssä mainittuihin tarkoituksiin. Sosiaali- ja terveysalan käyttölupaviranomaisen on laadittava aineistokuvaukset 14 :n 3 momentissa tarkoitetuista valmisaineistoistaan. Sosiaali- ja terveysalan käyttölupaviranomainen antaa tarkemmat määräykset aineistokuvausten tietosisällöistä, käsitteistä ja tietorakenteista. Ennen määräysten antamista käyttölupaviranomaisen tulee kuulla asianomaisia organisaatioita. Sosiaali- ja terveysministeriön asetuksella säädetään, mistä lähtien 1 momentissa säädettyjä velvoitteita sovelletaan. 13 Neuvontapalvelu Edellä 6 :ssä tarkoitetun rekisterinpitäjän on järjestettävä mainitussa pykälässä tarkoitettuja rekisteritietojaan koskeva neuvontapalvelu siten, että niitä 2 :ssä mainitussa tarkoituksessa tarvitseva saa riittävät tiedot käytettävissä olevien rekistereiden tietosisällöistä ja rekisteritietojen soveltuvuudesta tiedon tarpeisiinsa. Sen lisäksi, mitä 1 momentissa säädetään, Sosiaali- ja terveysalan käyttölupaviranomaisen on järjestettävä neuvontapalvelu, joka koskee käyttöluvan vastaa kuitenkin Eläketurvakeskuksen, Väestörekisterikeskuksen ja Tilastokeskuksen tietoihin kohdistuvista palveluista vain, jos kyseisiä tietoja yhdistetään 6 :n 1 8 kohdassa tarkoitettujen organisaatioiden tietoihin. Jos tietopyyntö tai tietolupahakemus koskee vain yhden 6 :ssä tarkoitetun organisaation henkilörekistereissä olevia tietoja, sanottu organisaatio vastaa itse kaikista 10 :ssä 10 :n 1-4 kohdassa tarkoitetuista palveluista. Sanotut organisaatiot voivat kuitenkin ilmoittaa Sosiaali- ja terveysalan tietolupaviranomaiselle, että ne luopuvat ylläpitämästä muita kuin 10 :n 1 ja 2 kohdassa tarkoitettuja palveluita. Tietolupaviranomainen vastaa tällöin ilmoituksen tehneen organisaation puolesta 10 :n 3-7 :ssä tarkoitetuista palveluista sekä sen tietoja koskevista tietolupapäätöksistä. Sosiaali- ja terveysalan tietolupaviranomainen voi kuitenkin sopia muiden 6 :ssä tarkoitettujen organisaatioiden kanssa, että se hoitaa kaikki tai osan tässä momentissa tarkoitetuista palveluista sopimuksen tehneen organisaation puolesta. Sosiaali- ja terveysalan tietolupaviranomainen vastaa aina 10 :n 3 7 kohdassa tarkoitetuista palveluista, jos tietolupahakemus tai tämän lain mukainen tietopyyntö koskee yhden tai usean yksityisen sosiaali- tai terveydenhuollon palvelunjärjestäjän rekisteritietoja. 12 Tietoaineistojen kuvaukset Edellä 6 :ssä tarkoitettujen organisaatioiden on rekisterinpitäjänä laadittava aineistokuvaukset tietovarantojensa tietosisällöistä siten, että niiden perusteella on mahdollista arvioida rekisteritietojen soveltuvuutta 2 :ssä mainittuihin tarkoituksiin. Sosiaali- ja terveysalan tietolupaviranomaisen on laadittava aineistokuvaukset 14 :n 3 momentissa tarkoitetuista valmisaineistoistaan. Sosiaali- ja terveysalan tietolupaviranomainen antaa tarkemmat määräykset aineistokuvausten tietosisällöistä, käsitteistä ja tietorakenteista. Ennen määräysten antamista tietolupaviranomaisen tulee kuulla asianomaisia organisaatioita. Sosiaali- ja terveysministeriön asetuksella säädetään, mistä lähtien 1 momentissa säädettyjä velvoitteita sovelletaan. 13 Neuvontapalvelu Edellä 6 :ssä tarkoitetun rekisterinpitäjän on järjestettävä mainitussa pykälässä tarkoitettuja rekisteritietojaan koskeva neuvontapalvelu siten, että niitä 2

10 10(41) myöntämisedellytyksiä, 10 :ssä tarkoitettujen palvelujen sisältöä ja merkitystä sekä 14 :n 3 momentissa tarkoitettuja valmisaineistoja. 14 Tietojen kokoamis-, yhdistämis- ja esikäsittelypalvelu Jos Sosiaali- ja terveysalan käyttölupaviranomaisen myöntämä käyttölupa koskee usean rekisterinpitäjän tietoja, käyttölupaviranomainen kokoaa ja esikäsittelee käyttöluvan mukaisesti poimitut tai saadut ja tarvittaessa yhdistellyt tiedot 36 :n mukaisesti. Jos käyttölupaviranomainen luovuttaa tietoja tietopyynnön perusteella, se kokoaa ja tarvittaessa yhdistelee sekä anonymisoi luovutettavan aineiston. Käyttölupaviranomaisen on säilytettävä kuvaus aineiston muodostamisesta, anonymisointimenetelmistä ja lopputuloksesta. Käyttölupaviranomainen saa muodostaa valmisaineistoja 6 :ssä tarkoitettujen viranomaisten ja organisaatioiden tiedoista. Käyttölupaviranomainen saa myöhemmin poimia käyttöluvan myöntämiseksi tarvittavat ja myönnetyn käyttöluvan mukaiset tiedot valmisaineistoista. Jos henkilötietoja luovutetaan usean eri tiedonhyödyntämissuunnitelman perusteella pseudonymisoituna, tiedot on pseudonymisoitava jokaista luovutusta varten eri tunnisteella. 15 Tunnisteiden hallinnointipalvelu Käyttöluvan antanut viranomainen säilyttää pseudonymisoitujen aineistojen tunnisteet tietoturvallisesti ja siten, että aineisto on mahdollista tarvittaessa muuttaa tunnisteelliseksi, ja että sama aineisto on niiden avulla mahdollista tuottaa uudelleen. Viranomaisen on säilytettävä tunnisteet niin kauan kuin ne ovat tarpeen tutkimuksen tekemiseksi ja sen tulosten asianmukaisuuden varmistamiseksi. Toiminnan edellytyksenä olevat tietojärjestelmäpalvelut ja niiden turvallisuuden varmistaminen :ssä mainitussa tarkoituksessa tarvitseva saa riittävät tiedot käytettävissä olevien rekistereiden tietosisällöistä ja rekisteritietojen soveltuvuudesta tiedon tarpeisiinsa. Sen lisäksi, mitä 1 momentissa säädetään, Sosiaali- ja terveysalan tietolupaviranomaisen on järjestettävä neuvontapalvelu, joka koskee tietoluvan myöntämisedellytyksiä, 10 :ssä tarkoitettujen palvelujen sisältöä ja merkitystä sekä 14 :n 3 momentissa tarkoitettuja valmisaineistoja. 14 Tietojen kokoamis-, yhdistämis- ja esikäsittelypalvelu Jos Sosiaali- ja terveysalan tietolupaviranomaisen myöntämä tietolupa koskee usean rekisterinpitäjän tietoja, tietolupaviranomainen kokoaa ja esikäsittelee tietoluvan mukaisesti poimitut tai saadut ja tarvittaessa yhdistellyt tiedot 36 :n mukaisesti. Jos tietolupaviranomainen luovuttaa tietoja tietopyynnön perusteella, se kokoaa ja tarvittaessa yhdistelee sekä anonymisoi luovutettavan aineiston. Tietolupaviranomaisen on säilytettävä kuvaus aineiston muodostamisesta, anonymisointimenetelmistä ja lopputuloksesta. Tietolupaviranomainen saa muodostaa valmisaineistoja 6 :ssä tarkoitettujen viranomaisten ja organisaatioiden tiedoista. Tietolupaviranomainen saa myöhemmin poimia tietoluvan myöntämiseksi tarvittavat ja myönnetyn tietoluvan mukaiset tiedot valmisaineistoista. Jos henkilötietoja luovutetaan usean eri tiedonhyödyntämissuunnitelman perusteella pseudonymisoituna, tiedot on pseudonymisoitava jokaista luovutusta varten eri tunnisteella. 15 Tunnisteiden hallinnointipalvelu Tietoluvan antanut viranomainen säilyttää pseudonymisoitujen aineistojen tunnisteet tietoturvallisesti ja siten, että aineisto on mahdollista tarvittaessa muuttaa tunnisteelliseksi, ja että sama aineisto on niiden avulla mahdollista tuottaa uudelleen. Viranomaisen on säilytettävä tunnisteet niin kauan kuin ne ovat tarpeen tutkimuksen tekemiseksi ja sen tulosten asianmukaisuuden varmistamiseksi. Toiminnan edellytyksenä olevat tietojärjestelmäpalvelut ja niiden turvallisuuden varmistaminen

11 11(41) 16 Tietopyyntöjen hallintajärjestelmä Sosiaali- ja terveysalan käyttölupaviranomainen ylläpitää yksin tai yhdessä muiden viranomaisten kanssa tietopyyntöjen hallintajärjestelmää, jonka välityksellä käyttölupahakemus tai tämän lain mukainen tietopyyntö on toimitettava sille. Käsittelyn edellytyksenä olevat käyttölupaviranomaisen selvitys- ja täydennyspyynnöt sekä hakijan sille toimittamat selvitykset, täydennykset ja hakemusta koskevat muutokset toteutetaan hallintajärjestelmän välityksellä. Lupapäätös annetaan hakijalle tiedoksi hallintajärjestelmän välityksellä. Jos käyttötarkoituksen edellytyksenä on lakisääteisesti tiedonhyödyntämissuunnitelman eettinen ennakkoarviointi, myös eettinen arviointi saatetaan vireille ja lausunto toimitetaan hallintajärjestelmän välityksellä. 17 Tietoturvallinen käyttöpalvelu Sosiaali- ja terveysalan käyttölupaviranomainen ylläpitää tietoturvallista käyttöpalvelua käyttölupahakemuksen ja tietopyynnön käsittelyssä tarvittavien tietojen sekä myönnetyn käyttöluvan mukaisten tietojen luovuttamiseksi. Käyttöpalvelun välityksellä saa tässä laissa säädetyin edellytyksin luovuttaa henkilötietoja käyttölupaviranomaisen ja muiden 6 :ssä mainittujen viranomaisten välillä, käyttölupaviranomaisen ja yksityisten sosiaali- ja terveydenhuollon palvelunantajien välillä sekä luvanhakijan ja käyttölupaviranomaisen välillä. Kun henkilötietoja välitetään tietoturvallisen käyttöpalvelun välityksellä, niiden eheys ja alkuperä on varmistettava sähköisellä allekirjoituksella. Organisaation ja tietoteknisten laitteiden lähettämien tietojen eheys ja alkuperä on varmistettava käyttämällä luotettavuudeltaan vastaavaa tekniikkaa kuin luonnollisen henkilön sähköisessä allekirjoituksessa. Tietoturvallisen käyttöpalvelun käyttäjät on tunnistettava vahvasti, kun heille luovutetaan henkilötietoja. Kehittyneestä sähköisestä allekirjoituksesta ja vahvasta sähköisestä tunnistamisesta säädetään sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o 910/2014, sekä vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa (617/2009). 16 Tietopyyntöjen hallintajärjestelmä Sosiaali- ja terveysalan tietolupaviranomainen ylläpitää yksin tai yhdessä muiden viranomaisten kanssa tietopyyntöjen hallintajärjestelmää, jonka välityksellä tietolupahakemus tai tämän lain mukainen tietopyyntö on toimitettava sille. Käsittelyn edellytyksenä olevat tietolupaviranomaisen selvitys- ja täydennyspyynnöt sekä hakijan sille toimittamat selvitykset, täydennykset ja hakemusta koskevat muutokset toteutetaan hallintajärjestelmän välityksellä. Lupapäätös annetaan hakijalle tiedoksi hallintajärjestelmän välityksellä. Jos käyttötarkoituksen edellytyksenä on lakisääteisesti tiedonhyödyntämissuunnitelman eettinen ennakkoarviointi, myös eettinen arviointi saatetaan vireille ja lausunto toimitetaan hallintajärjestelmän välityksellä. 17 Tietoturvallinen käyttöpalvelu Sosiaali- ja terveysalan tietolupaviranomainen ylläpitää tietoturvallista käyttöpalvelua tietolupahakemuksen ja tietopyynnön käsittelyssä tarvittavien tietojen sekä myönnetyn tietoluvan mukaisten tietojen luovuttamiseksi. Käyttöpalvelun välityksellä saa tässä laissa säädetyin edellytyksin luovuttaa henkilötietoja tietolupaviranomaisen ja muiden 6 :ssä mainittujen viranomaisten välillä, tietolupaviranomaisen ja yksityisten sosiaali- ja terveydenhuollon palvelunantajien välillä sekä luvanhakijan ja tietolupaviranomaisen välillä. Kun henkilötietoja välitetään tietoturvallisen käyttöpalvelun välityksellä, niiden eheys ja alkuperä on varmistettava sähköisellä allekirjoituksella. Organisaation ja tietoteknisten laitteiden lähettämien tietojen eheys ja alkuperä on varmistettava käyttämällä luotettavuudeltaan vastaavaa tekniikkaa kuin luonnollisen henkilön sähköisessä allekirjoituksessa. Tietoturvallisen käyttöpalvelun käyttäjät on tunnistettava vahvasti, kun heille luovutetaan henkilötietoja. Kehittyneestä sähköisestä allekirjoituksesta ja vahvasta sähköisestä tunnistamisesta säädetään sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla ja direktiivin 1999/93/EY kumoamisesta annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o 910/2014, sekä vahvasta sähköisestä tunnistamisesta ja sähköisistä luottamuspalveluista annetussa laissa (617/2009).

12 12(41) Käyttölupaviranomaisen on luotava tarvittavat rajapinnat käyttöpalvelun yhteentoimivuutta varten ja huolehdittava siitä, että tiedonsiirto voidaan tehdä yleisesti käytössä olevien teknologioiden avulla. 18 Yleiset tietoturvavaatimukset Kun henkilötietoja käsitellään tämän lain nojalla, käsittelyn riittävä tietoturvallisuus on varmistettava riskienhallinnalla, pääsynhallinnalla, aktiivisella valvonnalla sekä noudattamalla tietoturvallisuuden ja tietosuojan toteutuksesta ja valvonnasta vastaavan viranomaisen määräyksiä ja ohjeita. Erityistä huomiota on kiinnitettävä käyttörajoitusten sekä salassapitovelvoitteen toteuttamiseen. 19 Lokitiedot Kun henkilötietoja käsitellään tämän lain mukaista lupaharkintaa tai tietojen luovuttamista varten, lokitiedot on kerättävä seuraavasti: Sosiaali- ja terveysalan käyttölupaviranomaisen ja 6 :ssä tarkoitetun organisaation on tallennettava käyttölokitietoihin tiedot siitä organisaatiosta, jonka tietoja käytetään, tietojen käyttäjästä, käsitellyistä tiedoista ja tietoryhmistä, tietojen käyttötarkoituksesta, käyttölupahakemuksen tai tietopyynnön tunnisteesta sekä käyttöajankohdasta; käyttölupaviranomaisen, yksityisen sosiaali- ja terveydenhuollon palvelunantajan ja 6 :ssä tarkoitetun organisaation on tallennettava luovutuslokitietoihin tiedot luovuttaneesta organisaatiosta, tietojen luovuttajasta, tietojen 2 :n mukaisesta luovutustarkoituksesta, käyttölupahakemuksen tai tietopyynnön tunnisteesta, luovutuksensaajasta ja luovutusajankohdasta. Henkilötietoja tämän lain mukaisen käyttöluvan perusteella käsittelevän on tallennettava käyttölokitietoihin tieto käyttöluvan saaneesta rekisterinpitäjästä, 2 :n mukaisesta käyttötarkoituksesta, käsittelyyn oikeuttavasta käyttöluvasta, tietojen käsittelyyn käyttöluvan mukaan oikeutetusta käyttäjästä, käsitellyistä tiedoista ja tietoryhmistä sekä käyttöajankohdasta. Henkilötietoja tietojohtamiseen käsittelevän palvelunantajan on tallennettava käyttölokitietoihin tieto käytetyistä henkilötiedoista, tietojen käyttäjästä, tietojen käyttötarkoituksesta ja käyttöajankohdasta. Lokitiedot on hävitettävä tai arkistoitava, kun ne eivät enää ole tarpeen käytön ja luovutuksen lainmukaisuuden seuraamiseksi ja mahdollisten väärinkäytöksistä aiheutuvien seuraamusten määräämiseksi. Tietolupaviranomaisen on luotava tarvittavat rajapinnat käyttöpalvelun yhteentoimivuutta varten ja huolehdittava siitä, että tiedonsiirto voidaan tehdä yleisesti käytössä olevien teknologioiden avulla. 18 Yleiset tietoturvavaatimukset Kun henkilötietoja käsitellään tämän lain nojalla, käsittelyn riittävä tietoturvallisuus on varmistettava riskienhallinnalla, pääsynhallinnalla, aktiivisella valvonnalla sekä noudattamalla tietoturvallisuuden ja tietosuojan toteutuksesta ja valvonnasta vastaavan viranomaisen määräyksiä ja ohjeita. Erityistä huomiota on kiinnitettävä käyttörajoitusten sekä salassapitovelvoitteen toteuttamiseen. 19 Lokitiedot Kun henkilötietoja käsitellään tämän lain mukaista lupaharkintaa tai tietojen luovuttamista varten, lokitiedot on kerättävä seuraavasti: Sosiaali- ja terveysalan tietolupaviranomaisen ja 6 :ssä tarkoitetun organisaation on tallennettava käyttölokitietoihin tiedot siitä organisaatiosta, jonka tietoja käytetään, tietojen käyttäjästä, käsitellyistä tiedoista ja tietoryhmistä, tietojen käyttötarkoituksesta, tietolupahakemuksen tai tietopyynnön tunnisteesta sekä käyttöajankohdasta; tietolupaviranomaisen, yksityisen sosiaali- ja terveydenhuollon palvelunantajan ja 6 :ssä tarkoitetun organisaation on tallennettava luovutuslokitietoihin tiedot luovuttaneesta organisaatiosta, tietojen luovuttajasta, tietojen 2 :n mukaisesta luovutustarkoituksesta, tietolupahakemuksen tai tietopyynnön tunnisteesta, luovutuksensaajasta ja luovutusajankohdasta. Henkilötietoja tämän lain mukaisen tietoluvan perusteella käsittelevän on tallennettava käyttölokitietoihin tieto tietoluvan saaneesta rekisterinpitäjästä, 2 :n mukaisesta käyttötarkoituksesta, käsittelyyn oikeuttavasta tietoluvasta, tietojen käsittelyyn tietoluvan mukaan oikeutetusta käyttäjästä, käsitellyistä tiedoista ja tietoryhmistä sekä käyttöajankohdasta. Henkilötietoja tietojohtamiseen käsittelevän palvelunantajan on tallennettava käyttölokitietoihin tieto käytetyistä henkilötiedoista, tietojen käyttäjästä, tietojen käyttötarkoituksesta ja käyttöajankohdasta. Lokitiedot on hävitettävä tai arkistoitava 12 vuoden kuluttua tietoluvan päättymisestä. Tietolupaviranomainen voi antaa tarkempia määräyksiä lokirekistereihin tallennettavista tiedoista ja tietosisällöistä.

13 13(41) Käyttölupaviranomainen voi antaa tarkempia määräyksiä lokirekistereihin tallennettavista tiedoista ja tietosisällöistä. 20 Tietoturvallinen käyttöympäristö Sosiaali- ja terveysalan käyttölupaviranomainen ylläpitää yksin tai yhdessä muiden viranomaisten kanssa tietoturvallista käyttöympäristöä, jossa voidaan varmistaa käyttölupaviranomaisen tai muun tässä laissa tarkoitetun viranomaisen tämän lain nojalla luovuttamien tietojen tietoturvallinen, luvan mukainen käsittely. Käsittelyn on oltava mahdollista teknisesti erilaisin tavoin ja käyttöympäristöön on oltava pääsy eri paikoista. Käyttölupaviranomaisen on arvioitava luovutettavien tietojen arkaluontoisuuden tasoa ja huomioitava tämä käyttölupapäätöksessä tietoturvallisen käyttöympäristön käytölle asetettavissa vaatimuksissa. Jos käyttölupahakemuksessa pyydetään luovuttamaan muita kuin anonymisoituja tietoja käsiteltäviksi muussa kuin 1 momentissa tarkoitetussa käyttöympäristössä, hakemuksessa on erikseen perusteltava syyt, joiden vuoksi tämä on välttämätöntä. Käyttölupaviranomainen tai muu tässä laissa tarkoitettu viranomainen saa tällöin luovuttaa tiedot hakijalle vain, jos käyttöympäristö täyttää 20 :n 2 momentissa ja :ssä säädetyt edellytykset. 21 Tietoturvallisen käyttöympäristön käyttäjien tunnistaminen Tietoturvallisen käyttöympäristön käyttäjät on tunnistettava luotettavasti sekä todennettava. Sosiaali- ja terveysministeriön asetuksella voidaan antaa tarkempia säännöksiä tunnistamisen ja todentamisen teknisestä toteuttamisesta. 22 Tietoturvallisen käyttöympäristön käyttäjien käyttöoikeudet Palveluntarjoajan on määriteltävä luvansaajan ja muun henkilötietoja käyttöympäristössä käsittelevän henkilön käyttöoikeus henkilötietoihin. Luvansaajalle annetaan käyttöoikeus käyttöluvan mukaisiin henkilötietoihin. Muille henkilötietoja käyttöympäristössä käsitteleville annetaan käyttöoikeudet heidän työtehtävissään tarvitsemiinsa välttämättömiin henkilötietoihin. Palveluntarjoajan on pidettävä rekisteriä tietoturvallisen käyttöympäristön käyttäjistä sekä näiden käyttöoikeuksista. Käyttöympäristön käyttäjien käyttöoikeustiedot tulee hävittää, kun ne eivät enää ole tarpeen ympäristön käytön ja luovutuksen lainmukaisuuden seuraamiseksi. 20 Tietoturvallinen käyttöympäristö Sosiaali- ja terveysalan tietolupaviranomainen ylläpitää yksin tai yhdessä muiden viranomaisten kanssa tietoturvallista käyttöympäristöä, jossa voidaan varmistaa tietolupaviranomaisen tai muun tässä laissa tarkoitetun viranomaisen tämän lain nojalla luovuttamien tietojen tietoturvallinen, luvan mukainen käsittely. Käsittelyn on oltava mahdollista teknisesti erilaisin tavoin ja käyttöympäristöön on oltava pääsy eri paikoista. Tietolupaviranomaisen on arvioitava luovutettavien tietojen arkaluontoisuuden tasoa ja huomioitava tämä tietolupapäätöksessä tietoturvallisen käyttöympäristön käytölle asetettavissa vaatimuksissa. Jos tietolupahakemuksessa pyydetään luovuttamaan muita kuin anonymisoituja tietoja käsiteltäviksi muussa kuin 1 momentissa tarkoitetussa käyttöympäristössä, hakemuksessa on erikseen perusteltava syyt, joiden vuoksi tämä on välttämätöntä. Tietolupaviranomainen tai muu tässä laissa tarkoitettu viranomainen saa tällöin luovuttaa tiedot hakijalle vain, jos käyttöympäristö täyttää 20 :n 2 momentissa ja :ssä säädetyt edellytykset. 21 Tietoturvallisen käyttöympäristön käyttäjien tunnistaminen Tietoturvallisen käyttöympäristön käyttäjät on tunnistettava luotettavasti sekä todennettava. Sosiaali- ja terveysministeriön asetuksella voidaan antaa tarkempia säännöksiä tunnistamisen ja todentamisen teknisestä toteuttamisesta. 22 Tietoturvallisen käyttöympäristön käyttäjien käyttöoikeudet Palveluntarjoajan on määriteltävä luvansaajan ja muun henkilötietoja käyttöympäristössä käsittelevän henkilön käyttöoikeus henkilötietoihin. Luvansaajalle annetaan käyttöoikeus tietoluvan mukaisiin henkilötietoihin. Muille henkilötietoja käyttöympäristössä käsitteleville annetaan käyttöoikeudet heidän työtehtävissään tarvitsemiinsa välttämättömiin henkilötietoihin. Palveluntarjoajan on pidettävä rekisteriä tietoturvallisen käyttöympäristön käyttäjistä sekä näiden käyttöoikeuksista. Käyttöympäristön käyttäjien käyttöoikeustiedot on hävitettävä tai arkistoitava 12 vuoden kuluttua käyttöoikeuden päättymisestä.